Closer connections.
Stronger conversations.
More opportunity.

1. لديك ملف MindyCRM-Setup.exe وتريد تشغيل البرنامج على جهازك: اتبع التنصيب الفردي أدناه.
2. أعطتك شركتك رابط CRM: افتح الرابط من المتصفح وسجّل الدخول؛ لا تثبّت نسخة مستقلة ولا تنقل قاعدة بيانات إلى جهازك.
3. أنت مسؤول تجهيز السيرفر: افتح دليل مسؤول السيرفر من صفحة الأدلة. العميل لا يحتاج Mindy Builder.

1. احفظ ملف MindyCRM-Setup.exe الذي حصلت عليه من متجر مايندي أو مسؤولك، ثم افتحه.
2. إذا لديك نسخة سابقة، أغلق البرنامج ونافذة تشغيله أولًا. اختر النسخة السابقة التي يعرضها المثبّت أو حدد مجلدها الصحيح.
3. اختر استخدام فردي، وراجع مجلد البرنامج ومجلد البيانات قبل الإكمال. تغيير مجلد البرنامج لا يعني نقل البيانات السابقة.
4. أكمل المعالج ثم افتح Mindy CRM من اختصار سطح المكتب أو قائمة ابدأ. إذا غاب الاختصار، افتح Repair-Shortcuts.cmd من مجلد التنصيب.

1. لأول استخدام، أدخل بيانات الشركة والمستخدم الإداري في معالج البداية. استخدم البريد والهاتف الصحيحين.
2. اختر الحالة المناسبة: ترخيص سابق، كود شراء جديد، أو تجربة لأول مرة. إذا اكتشف البرنامج ترخيصًا فعالًا فتابع به.
3. اتصل بالإنترنت للتفعيل. كود الشراء يُستخدم للتفعيل الأول؛ لا تعاود شراء كود لمجرد إعادة التنصيب.
4. بعد شراء الباقة من متجر مايندي والتحقق من الدفع، يظهر الكود ضمن الطلب. أدخله في مركز المنتج. لاستعادة رخصة مفقودة استخدم ملف الاستعادة المعتمد للجهاز المرتبط.

1. احصل من مسؤولك على رابط HTTPS وحسابك الخاص وطريقة الدخول.
2. داخل المكتب افتح الرابط؛ من الخارج اتصل بـVPN إن كانت الشركة تعتمد هذا المسار، ثم افتح الرابط نفسه.
3. أدخل بريدك أو معرّف المستخدم وPIN الذي أعدّه المسؤول. في النشر العام أكمل ربط تطبيق المصادقة واحفظ رموز الاسترداد.
4. إذا ظهر تحذير شهادة، اطلب من مسؤول الشبكة إصلاح الثقة أو الرابط. لا تفتح ملف قاعدة البيانات المشترك.

1. اختر الكيان الصحيح، ثم راجع الأقسام المتاحة حسب ترخيصك وصلاحياتك.
2. أضف عميلًا وبيانات التواصل، ثم فرصة وخطوة متابعة بتاريخ ومسؤول واضحين.
3. جهّز عرض سعر عند الحاجة، وسجّل التحصيل عندما يحدث فعليًا. راجع رادار المتابعة والمهام يوميًا.
4. من زر المساعدة أعلى CRM افتح دليل الاستخدام التفصيلي. ومن English / العربية بدّل اللغة بعد حفظ تعديلاتك. بيانات العملاء لا تتغير لغتها تلقائيًا.

1. احفظ عملك قبل التحديث. راجع الإصدار المتاح من المنتج والموديولات بحساب مخوّل.
2. اتبع تنزيل المثبّت والتحقق والنسخ الاحتياطي، ثم وافق على إغلاق البرنامج وأكمل معالج Windows. التحديث قد يطلب صلاحية مسؤول.
3. إذا تستخدم رابط الفريق، مسؤول السيرفر وحده ينفّذ الترقية في وقت صيانة. لا تثبّت تحديثًا محليًا على جهازك كبديل للسيرفر.
4. لا تستخدم التنظيف الكامل في الترقية المعتادة. احتفظ بمجلد البيانات القديم إذا كان البرنامج الجديد يستخدمه.

1. راجع إعدادات النسخ الاحتياطي وتأكد من وجود نسخ حديثة. احتفظ بنسخة مكتملة خارج الجهاز.
2. لنقل الجهاز، استخدم نسخة النقل المشفرة وكلمة مرور تحفظها بأمان، ثم اتبع نقل/استعادة الترخيص. لا تنسخ ملفًا واحدًا وتتوقع انتقال المرفقات والمفاتيح معه.
3. الاستعادة على سيرفر الفريق تتم محليًا بواسطة المسؤول بعد إيقاف الخدمات ونسخ الحالة الحالية.

1. إذا تعذر الفتح: تأكد أن البرنامج أو سيرفر الفريق يعمل، وأنك تستخدم الرابط الصحيح.
2. إذا اختفت بيانات متوقعة: راجع الكيان والصلاحيات ومجلد البيانات مع المسؤول قبل أي استيراد.
3. من دعم البرنامج اختر إبلاغ عن مشكلة إذا كانت الميزة متاحة ومربوطة، واكتب الخطوات ورسالة الخطأ ورقم الإصدار. تابع الرد من نفس القسم.
4. لا تضع PIN أو كلمات المرور أو مفاتيح الربط أو رموز الاسترداد داخل التذكرة.

من استوديو الرسائل: ربط مباشر مع Meta عبر WhatsApp Cloud API، أو عبر 360dialog، باستخدام حسابك وقوالبك المعتمدة ومتغيرات الرسالة والوسائط والأزرار. الربط المحلي بالـQR مشمول لمستخدمي الموديول، وUltraMsg خيار إضافي. تُطبق متطلبات إعداد WhatsApp Business ورسوم Meta والمزود؛ لا يتجاوز الربط مراجعة الشركة أو قيود الحساب. تستمر الحملات الجديدة عند إغلاق الواجهة ما دام الجهاز وخدمة CRM يعملان. قبول المزود ليس تأكيدًا للتسليم أو القراءة.

1. الدليل لسيرفر Windows x64 أو جهاز Windows مخصص يبقى قيد التشغيل. لا تستخدم استضافة Hostinger PHP المشتركة لتشغيل CRM نفسه؛ الموقع والمانجر خدمات منفصلة.
2. تُحفظ قاعدة البيانات على قرص السيرفر المحلي. الموظفون يستخدمون المتصفح؛ لا تضع القاعدة الحية على SMB أو NAS أو OneDrive ولا تشغّل خلفيتين على نفس الملف.
3. اختر شبكة مكتب، أو مكتب مع VPN، أو نطاق HTTPS عام. إعداد DNS والراوتر وVPN من مسؤول الشبكة وليس إجراءً تلقائيًا في المثبّت.

1. خذ نسخة نقل مشفرة من البيانات السابقة واحفظ كلمة مرورها. اختر نافذة صيانة وأغلق CRM وأوقف خدماته السابقة.
2. شغّل MindyCRM-Setup.exe، اختر النسخة السابقة عند الترقية، ثم سيرفر فريق. راجع مسار البرنامج ومسار البيانات.
3. يفتح مدير السيرفر بعد التنصيب. لا تُثبت الخدمات قبل إكمال الإعداد. افتح الصيانة المحلية لإعداد الشركة والترخيص والمستخدم الإداري.
4. عيّن PIN من 8–10 أرقام وسجّل معرّف المدير. للنطاق العام فعّل المصادقة الثنائية للمدير واحفظ رموز الاسترداد.

1. أغلق الصيانة المحلية. اختر شبكة المكتب وVPN أو نطاق إنترنت عام بحسب خطتك.
2. أدخل رابط HTTPS الفعلي، ومعرّف المدير وPIN الحالي. الحقل يتحقق من PIN الموجود ولا يعيد تعيينه بلا تحقق.
3. اضغط حفظ إعداد الفريق. تبقى البيانات والرخصة؛ تُغلق الجلسات السابقة ويصبح دخول الحساب إلزاميًا.
4. اضغط تثبيت الخدمات ووافق على طلب Windows. تحتاج العملية إنترنت لتنزيل أدوات السيرفر والتحقق منها.
5. الخدمتان MindyCRM وMindyHTTPS تعملان تلقائيًا تحت LocalService. اضغط تشغيل ثم الحالة، وبعدها اختبر رابط الفريق من جهاز موظف.

1. احجز عنوان IP ثابتًا للسيرفر واضبط اسمًا داخليًا مثل https://crm.internal في DNS الداخلي. يجب أن يستطيع جهاز الموظف الوصول للاسم نفسه.
2. اسمح TCP 443 من شبكة المكتب إلى السيرفر. لا تفتح منفذ الخلفية 8765 أو 5000.
3. الشهادة الداخلية يستخدمها Caddy. شهادة الجذر العامة توجد عادة في [مجلد البيانات]/caddy-state/Caddy/pki/authorities/local/root.crt.
4. يوزع مسؤول الشبكة root.crt في مخزن Trusted Root Certification Authorities بعد التحقق من بصمتها. لا توزع root.key أو المفاتيح الخاصة.
5. اختبر الدخول من جهازين بحسابين مختلفين. أي تحذير شهادة يحتاج إصلاح الاسم أو الثقة أو توقيت الأجهزة.

1. أكمل LAN أولًا، ثم جهّز VPN للشركة بحساب مستقل لكل موظف. الـVPN ليس مرفقًا كخدمة تلقائية مع CRM.
2. مرّر DNS الداخلي وشبكة السيرفر للموظف، واسمح بالوصول إلى 443 بحسب الحاجة وثبّت شهادة الثقة.
3. من شبكة منزل أو هاتف: اتصل بالـVPN ثم افتح رابط CRM نفسه. افصل VPN وتأكد أن الرابط الداخلي لم يصبح عامًا.
4. لا تعمل Port Forwarding لمنفذ الخلفية. قاعدة البيانات تبقى على السيرفر.

1. استخدم نطاقًا تملكه مثل https://crm.example.com وسيرفر Windows قابلًا للوصول. CGNAT قد يمنع النشر المباشر من المكتب.
2. اضبط سجلات DNS الصحيحة. وجّه TCP 80 و443 إلى Caddy للحصول على الشهادة وتجديدها. لا تعرض 8765 للإنترنت.
3. اختر وضع النطاق العام في مدير السيرفر وأدخل الاسم المطابق. استصدار الشهادة يتطلب صحة DNS والوصول.
4. المصادقة الثنائية مطلوبة في هذا الوضع. المستخدم غير المكتمل لا يصل لبيانات الشركة قبل إنهاء التسجيل.
5. اختبر من خارج الشبكة. داخل المكتب قد تحتاج Split DNS أو NAT loopback. لا يكفي ظهور Running لإثبات عمل HTTPS.

1. من الإعدادات أنشئ حسابًا لكل موظف، وبريدًا فريدًا عند استخدام البريد للدخول.
2. حدد الدور ونطاق الكيانات وPIN من 8–10 أرقام. لا تمنح الجميع صلاحيات المدير.
3. سلّم الرابط والحساب بطريقة آمنة. اختبر مستخدمًا محدود الصلاحيات ومستخدمًا موقوفًا.
4. استعادة أو إعادة تهيئة MFA تُجرى من الصيانة المحلية بعد التحقق من هوية صاحب الحساب.

1. اضبط نسخًا دورية إلى مجلد محلي يستطيع LocalService الكتابة فيه. انقل نسخة مكتملة خارج السيرفر؛ لا تزامن hub.db الحي.
2. احتفظ بنسخة مشفرة وبإعدادات server.json وCaddyfile وDNS والجدار الناري وبنسخة محمية من caddy-state.
3. اختبر صلاحيات أي وجهة خارجية؛ حساب الخدمة لا يملك تلقائيًا صلاحيات OneDrive أو مشاركة الموظف.
4. للاستعادة: أوقف الخدمات، انسخ الحالة الحالية، افتح الصيانة المحلية، استعد النسخة المعتمدة، ثم راجع الرخصة والمرفقات قبل تشغيل الفريق.

1. أعلن وقت صيانة، احفظ الأعمال، وخذ نسخة أمان. أوقف الخدمات قبل فتح الصيانة أو المثبّت.
2. حدّث النسخة الصحيحة مع الاحتفاظ بمجلد بياناتها؛ لا تستخدم تنظيفًا كاملًا للترقية. أغلق الصيانة قبل إعادة تشغيل الخدمات.
3. تغيير مكان البرنامج لا ينقل البيانات. عند نقل مسار خدمات مسجلة، أزل تسجيل الخدمات من المجلد القديم أولًا، ثم أعد تثبيتها من المسار الجديد.
4. لنقل الترخيص إلى جهاز آخر اتبع إجراء النقل المعتمد؛ لا تنشئ تجربة ثانية كبديل.

1. للإيقاف المؤقت استخدم إيقاف في مدير السيرفر. لا تحذف ملفات البيانات.
2. إزالة تسجيل الخدمات عملية مختلفة: مسؤول السيرفر يشغّل Team-Services.ps1 بالمعامل -Action Remove من مجلد التنصيب. هذا يبقي البيانات والترخيص.
3. لا تعدّل وضع السيرفر أو تمسح server.json عشوائيًا. التحويل إلى استخدام فردي يحتاج توقف الفريق ونسخة أمان ومراجعة المسؤول.

1. إعدادات التكاملات تخص السيرفر وبيانات الشركة. راجع عنوان OAuth callback عند التحويل من localhost إلى HTTPS.
2. حافظ على مفاتيح الخزنة داخل البيانات الدائمة. ربط خدمات خارجية لا يتطلب كشف منفذ الخلفية للإنترنت.

1. الخدمة تتوقف: راجع logs/team-services.log وسجلات MindyCRM وMindyHTTPS وصلاحيات LocalService.
2. الرابط لا يفتح: افحص DNS ثم 443 ثم الشهادة. خطأ المصدر 403: استخدم اسم HTTPS المضبوط دون عنوان بديل.
3. الدخول يرفض: راجع الحساب وPIN وMFA؛ عند 429 انتظر فترة الحظر بدل تكرار المحاولة.
4. قاعدة مشغولة: ابحث عن نسخة صيانة وخدمة تعملان معًا، أو قاعدة على مجلد شبكة. بيانات مفقودة بعد نقل: توقف وراجع data-location.txt.

1. أعد تشغيل Windows وتحقق من تشغيل الخدمات، ثم الدخول من جهازين بحسابين مستقلين.
2. اختبر صلاحيات الكيانات والدخول والخروج وحسابًا موقوفًا وMFA للنطاق العام.
3. اختبر نسخة أمان واستعادة على بيئة اختبار، والوصول من خارج المكتب بالطريقة المختارة.
4. تحقق أن منفذ الخلفية غير متاح للأجهزة الأخرى. هذه تعليمات إعداد وليست إثبات اختبار فعلي لشبكتك.

1. You received MindyCRM-Setup.exe and want to use CRM on your PC: follow the individual installation steps below.
2. Your company gave you a CRM address: open it in a browser and sign in. Do not install a separate copy or copy the company database to your PC.
3. You are preparing a team server: use the Server Administrator Guide. Customers do not need Mindy Builder.

1. Save MindyCRM-Setup.exe obtained from the Mindy store or your administrator, then open it.
2. For an upgrade, close CRM and its launcher first. Select the detected previous installation or its correct folder.
3. Choose individual use and review the application and data folders before continuing. Changing the application folder does not move existing data.
4. Finish the wizard and open Mindy CRM from the desktop or Start menu. If the shortcut is missing, open Repair-Shortcuts.cmd in the installation folder.

1. On first use, complete the company and administrator setup with accurate email and phone details.
2. Choose the matching option: an existing license, a new purchase code, or an eligible first trial. Continue with an active license if one is detected.
3. Internet access is required for activation. A purchase code is for initial activation; reinstalling does not automatically require another purchase.
4. After verified payment in the Mindy store, retrieve the code from your order and redeem it in the product center. Recover a lost license using the authorized recovery file for its linked device.

1. Get the HTTPS address, your personal account and sign-in instructions from your administrator.
2. Open the address at the office. Outside the office, connect to the company VPN first if your company uses that access method.
3. Enter your email or user ID and the PIN configured by your administrator. For public access, complete authenticator enrollment and save recovery codes.
4. If the browser reports a certificate problem, ask your network administrator to fix trust or the address. Do not open a shared database file.

1. Choose the correct entity and review the sections available under your license and permissions.
2. Add a customer and contact details, then an opportunity with a clear owner, follow-up date and next action.
3. Prepare a quote when needed and record collections when payment actually occurs. Review follow-up radar and tasks daily.
4. Use the help button at the top of CRM for the in-app guide. Use English / العربية after saving edits to switch language; customer data keeps its original language.

1. Save your work before updating. Review available releases in Product and modules using an authorized account.
2. Follow download, verification and backup steps, then allow CRM to close and complete the Windows installer. Administrator approval may be required.
3. If you use a team URL, only the server administrator performs the upgrade during maintenance. Installing a separate PC copy does not update the server.
4. Do not use full cleanup for a routine upgrade. Retain the previous data folder when the new application still references it.

1. Review backup settings and confirm recent backups exist. Keep a completed backup outside the device.
2. For a device move, use an encrypted transfer backup and keep its password safe, then follow the license transfer/recovery process. Copying one file does not necessarily transfer attachments and keys.
3. Team database restoration is performed locally by the administrator after stopping services and backing up the current state.

1. If CRM will not open, check that the application or team server is running and the address is correct.
2. If expected records are missing, check the selected entity, permissions and data location with your administrator before importing anything.
3. Use Report a problem in program support when available and connected. Include reproduction steps, the exact error and build number; follow replies in the same section.
4. Never include PINs, passwords, integration secrets or recovery codes in a ticket.

Message Studio supports direct Meta WhatsApp Cloud API or 360dialog with your account and approved templates, message variables, media and template buttons. Local QR pairing is included for module users; UltraMsg is optional. WhatsApp Business setup, Meta requirements and fees, and any provider fees apply. Connecting does not bypass business review or account restrictions. New campaigns continue with the interface closed while the computer and CRM service run. Provider acceptance does not confirm delivery or reading.

1. Use a dedicated Windows x64 PC or Windows Server that remains powered on. PHP shared hosting does not run the CRM application; the website and License Manager are separate services.
2. Keep the live database on the server local disk. Staff use browsers. Do not place it on SMB, NAS or OneDrive or run two backends against the same file.
3. Choose LAN, LAN with VPN, or public HTTPS. DNS, router and VPN configuration requires your network administrator and is not automatically supplied by the installer.

1. Create an encrypted transfer backup of existing data and retain its password. Schedule maintenance, close CRM and stop existing services.
2. Run MindyCRM-Setup.exe, select the previous installation when upgrading, then select team server. Review application and data paths.
3. Server Manager opens after installation. Complete setup before installing services. Open local maintenance to configure the company, license and administrator.
4. Set an 8–10 digit administrator PIN and record the user ID. For public HTTPS, enable administrator MFA and save recovery codes.

1. Close local maintenance. Select office network/VPN or public Internet according to your deployment plan.
2. Enter the actual HTTPS address, administrator ID and current PIN. An existing PIN is verified, not silently reset.
3. Select Save team settings. Data and licensing remain; previous sessions close and authenticated sign-in becomes required.
4. Select Install services and approve the Windows elevation request. Internet access is needed to download and verify server tools.
5. MindyCRM and MindyHTTPS run automatically under LocalService. Select Start and Status, then test the team address from a staff device.

1. Reserve a stable server IP and configure an internal DNS name such as https://crm.internal. Staff devices must resolve the same name.
2. Allow TCP 443 from the office network to the server. Do not expose backend ports 8765 or 5000.
3. Caddy uses an internal certificate. Its public root certificate is normally at [data folder]/caddy-state/Caddy/pki/authorities/local/root.crt.
4. Your administrator distributes root.crt to Trusted Root Certification Authorities after verifying its fingerprint. Never distribute root.key or private keys.
5. Test from two devices with separate accounts. Certificate warnings require correcting hostname, trust or device time.

1. Complete LAN setup first, then configure a company VPN with individual staff accounts. CRM does not automatically provision a VPN service.
2. Provide internal DNS and the server route through VPN, allow required access to 443 and install certificate trust.
3. From a home or mobile connection, connect to VPN and open the same CRM address. Disconnect VPN and confirm that the internal URL has not become public.
4. Do not port-forward the backend. The database stays on the server.

1. Use a domain you own, such as https://crm.example.com, and a reachable Windows server. CGNAT can prevent direct office hosting.
2. Set correct DNS records. Route TCP 80 and 443 to Caddy for certificate issuance and renewal. Never expose 8765 to the Internet.
3. Select public-domain mode in Server Manager and enter the matching hostname. Certificate issuance requires working DNS and reachability.
4. MFA is required in this mode. Users who have not completed enrollment cannot access company data until they finish.
5. Test from outside the network. Inside the office, split DNS or NAT loopback may be needed. Running services alone do not prove HTTPS works.

1. Create one account per employee in Settings, with a unique email when email sign-in is used.
2. Assign role, entity scope and an 8–10 digit PIN. Do not make every employee an administrator.
3. Deliver the address and account information securely. Test both a limited account and a disabled account.
4. Perform MFA recovery or re-enrollment through local maintenance after verifying the account owner.

1. Schedule backups to a local folder writable by LocalService. Transfer completed backups off the server; do not synchronize the live hub.db file.
2. Keep an encrypted backup plus server.json, Caddyfile, DNS/firewall settings and a protected backup of caddy-state.
3. Test external destination permissions; service accounts do not automatically inherit employee OneDrive or network-share access.
4. To restore: stop services, preserve the current state, open local maintenance, restore the approved backup, and check licensing and attachments before reopening team access.

1. Announce maintenance, save work and take a backup. Stop services before opening maintenance or the installer.
2. Upgrade the correct installation while retaining its data folder. Do not use full cleanup for an upgrade. Close maintenance before restarting services.
3. Moving program files does not move data. For registered service path changes, remove service registration from the old folder, then reinstall services from the new path.
4. For a different device, follow the approved license transfer process; do not substitute a second trial.

1. Use Stop in Server Manager for a temporary stop. Do not delete data files.
2. Unregistering services is separate: the administrator runs Team-Services.ps1 with -Action Remove from the installation folder. Data and licensing remain.
3. Do not randomly delete server.json or change server mode. Conversion to individual use requires team downtime, a backup and administrator review.

1. Integration settings belong to the server and company data. Review the OAuth callback URL when moving from localhost to HTTPS.
2. Retain vault keys in persistent data. External integrations do not require exposing the backend port.

1. Service stops: inspect logs/team-services.log, MindyCRM and MindyHTTPS logs, and LocalService permissions.
2. URL unavailable: check DNS, then port 443, then certificates. Origin error 403: use the configured HTTPS hostname without an alternative address.
3. Sign-in fails: check account, PIN and MFA. For 429, wait for the lockout period instead of repeated attempts.
4. Database busy: check for simultaneous maintenance and service instances or a database on a network share. Missing data after a move: stop and review data-location.txt.

1. Restart Windows, verify service startup and sign in from two devices using independent accounts.
2. Test entity permissions, sign-in/out, a disabled account and MFA for public access.
3. Test backup and restoration in a test environment and remote access using your chosen method.
4. Confirm backend ports are unreachable from other devices. These instructions do not certify that your particular network has been tested.

<?php
declare(strict_types=1);
/** Save outside public web root. PHP 8+ with cURL.
 * Environment: MINDY_CRM_URL=https://crm.example.com and MINDY_TICKET_KEY=mdt_...
 * Call only from your authenticated backend. Before read/reply, check that the
 * current website customer owns the ticket ID in YOUR database. Never trust a
 * ticket ID supplied by a browser without an ownership check. Add CSRF checks
 * and rate limits to your website form. Do not put this key in browser code.
 */
function mindyTicketRequest(string $method, string $path, ?array $body=null, string $requestId=''): array {
    $base=rtrim((string)getenv('MINDY_CRM_URL'),'/');
    $token=(string)getenv('MINDY_TICKET_KEY');
    if(!preg_match('~^https://[a-z0-9.-]+(?::[0-9]+)?$~i',$base) || !str_starts_with($token,'mdt_'))
        throw new RuntimeException('Configure the CRM HTTPS origin and ticket key on the server.');
    if(!preg_match('~^/api/integrations/tickets(?:/health|/[1-9][0-9]*(?:/messages)?)?$~D',$path))
        throw new InvalidArgumentException('Unsupported ticket endpoint.');
    if(!in_array($method,['GET','POST'],true))throw new InvalidArgumentException('Use GET or POST.');
    $headers=['Accept: application/json','Authorization: Bearer '.$token,'Origin: '.$base];
    if($method==='POST'){
        if(strlen($requestId)<8||strlen($requestId)>100||preg_match('/[\r\n]/',$requestId))
            throw new InvalidArgumentException('Provide a stable 8–100 character idempotency ID.');
        $headers[]='Content-Type: application/json';$headers[]='Idempotency-Key: '.$requestId;
    }
    $ch=curl_init($base.$path);$response='';
    curl_setopt_array($ch,[CURLOPT_CUSTOMREQUEST=>$method,CURLOPT_CONNECTTIMEOUT=>8,CURLOPT_TIMEOUT=>25,
        CURLOPT_FOLLOWLOCATION=>false,CURLOPT_PROTOCOLS=>CURLPROTO_HTTPS,
        CURLOPT_SSL_VERIFYPEER=>true,CURLOPT_SSL_VERIFYHOST=>2,CURLOPT_HTTPHEADER=>$headers,
        CURLOPT_WRITEFUNCTION=>static function($ch,$chunk)use(&$response){if(strlen($response)+strlen($chunk)>2097152)return 0;$response.=$chunk;return strlen($chunk);}]);
    if($method==='POST')curl_setopt($ch,CURLOPT_POSTFIELDS,json_encode($body,JSON_UNESCAPED_UNICODE|JSON_THROW_ON_ERROR));
    $ok=curl_exec($ch);$status=(int)curl_getinfo($ch,CURLINFO_RESPONSE_CODE);curl_close($ch);
    if($ok===false)throw new RuntimeException('CRM network/TLS failure; verify DNS, HTTPS trust and reachability.');
    $data=json_decode($response,true);
    if($status<200||$status>=300||!is_array($data))throw new RuntimeException('CRM returned HTTP '.$status.'. Check the API troubleshooting guide.');
    return $data;
}
// Safe connection check (does not create a ticket):
// $health=mindyTicketRequest('GET','/api/integrations/tickets/health');
// Create once: persist a request ID in your website DB BEFORE the first attempt.
// $created=mindyTicketRequest('POST','/api/integrations/tickets',[
//   'subject'=>'Order help','message'=>'Please help with my order.',
//   'reporter_name'=>'Customer name','reporter_email'=>'customer@example.com',
//   'priority'=>'normal'], $persistedRequestId);
// Save $created['id'] against the authenticated customer in YOUR database.
// After checking ownership locally:
// $detail=mindyTicketRequest('GET','/api/integrations/tickets/'.$ownedTicketId);
// $reply=mindyTicketRequest('POST','/api/integrations/tickets/'.$ownedTicketId.'/messages',
//   ['message'=>'Customer reply'], $persistedReplyRequestId);
// Retry a failed operation with the SAME request ID and identical body.
// Notes marked internal in CRM are never returned through this API.

<?php
declare(strict_types=1);
/** Save outside public web root. PHP 8+ with cURL.
 * Environment: MINDY_CRM_URL=https://crm.example.com and MINDY_TICKET_KEY=mdt_...
 * Call only from your authenticated backend. Before read/reply, check that the
 * current website customer owns the ticket ID in YOUR database. Never trust a
 * ticket ID supplied by a browser without an ownership check. Add CSRF checks
 * and rate limits to your website form. Do not put this key in browser code.
 */
function mindyTicketRequest(string $method, string $path, ?array $body=null, string $requestId=''): array {
    $base=rtrim((string)getenv('MINDY_CRM_URL'),'/');
    $token=(string)getenv('MINDY_TICKET_KEY');
    if(!preg_match('~^https://[a-z0-9.-]+(?::[0-9]+)?$~i',$base) || !str_starts_with($token,'mdt_'))
        throw new RuntimeException('Configure the CRM HTTPS origin and ticket key on the server.');
    if(!preg_match('~^/api/integrations/tickets(?:/health|/[1-9][0-9]*(?:/messages)?)?$~D',$path))
        throw new InvalidArgumentException('Unsupported ticket endpoint.');
    if(!in_array($method,['GET','POST'],true))throw new InvalidArgumentException('Use GET or POST.');
    $headers=['Accept: application/json','Authorization: Bearer '.$token,'Origin: '.$base];
    if($method==='POST'){
        if(strlen($requestId)<8||strlen($requestId)>100||preg_match('/[\r\n]/',$requestId))
            throw new InvalidArgumentException('Provide a stable 8–100 character idempotency ID.');
        $headers[]='Content-Type: application/json';$headers[]='Idempotency-Key: '.$requestId;
    }
    $ch=curl_init($base.$path);$response='';
    curl_setopt_array($ch,[CURLOPT_CUSTOMREQUEST=>$method,CURLOPT_CONNECTTIMEOUT=>8,CURLOPT_TIMEOUT=>25,
        CURLOPT_FOLLOWLOCATION=>false,CURLOPT_PROTOCOLS=>CURLPROTO_HTTPS,
        CURLOPT_SSL_VERIFYPEER=>true,CURLOPT_SSL_VERIFYHOST=>2,CURLOPT_HTTPHEADER=>$headers,
        CURLOPT_WRITEFUNCTION=>static function($ch,$chunk)use(&$response){if(strlen($response)+strlen($chunk)>2097152)return 0;$response.=$chunk;return strlen($chunk);}]);
    if($method==='POST')curl_setopt($ch,CURLOPT_POSTFIELDS,json_encode($body,JSON_UNESCAPED_UNICODE|JSON_THROW_ON_ERROR));
    $ok=curl_exec($ch);$status=(int)curl_getinfo($ch,CURLINFO_RESPONSE_CODE);curl_close($ch);
    if($ok===false)throw new RuntimeException('CRM network/TLS failure; verify DNS, HTTPS trust and reachability.');
    $data=json_decode($response,true);
    if($status<200||$status>=300||!is_array($data))throw new RuntimeException('CRM returned HTTP '.$status.'. Check the API troubleshooting guide.');
    return $data;
}
// Safe connection check (does not create a ticket):
// $health=mindyTicketRequest('GET','/api/integrations/tickets/health');
// Create once: persist a request ID in your website DB BEFORE the first attempt.
// $created=mindyTicketRequest('POST','/api/integrations/tickets',[
//   'subject'=>'Order help','message'=>'Please help with my order.',
//   'reporter_name'=>'Customer name','reporter_email'=>'customer@example.com',
//   'priority'=>'normal'], $persistedRequestId);
// Save $created['id'] against the authenticated customer in YOUR database.
// After checking ownership locally:
// $detail=mindyTicketRequest('GET','/api/integrations/tickets/'.$ownedTicketId);
// $reply=mindyTicketRequest('POST','/api/integrations/tickets/'.$ownedTicketId.'/messages',
//   ['message'=>'Customer reply'], $persistedReplyRequestId);
// Retry a failed operation with the SAME request ID and identical body.
// Notes marked internal in CRM are never returned through this API.